Gli hacker utilizzano BNB Chain per diffondere malware tramite falsi CAPTCHA
Punti chiave
- •Gli hacker stanno memorizzando istruzioni malware negli smart contract di BNB Smart Chain utilizzando una tecnica chiamata EtherHiding, rendendo i contenuti dannosi resistenti ai convenzionali interventi di rimozione.
- •La campagna si basa su finti prompt CAPTCHA che ingannano i visitatori dei siti web, inducendoli a incollare comandi dannosi direttamente in strumenti di Windows tra cui PowerShell e la finestra di dialogo Esegui.
- •Microsoft riporta che questo metodo di ingegneria sociale ClickFix prende di mira migliaia di dispositivi aziendali e consumer in tutto il mondo su base quotidiana.
- •Le infezioni riuscite possono esporre password, stabilire un accesso persistente alla rete, facilitare lo spostamento laterale e potenzialmente portare al deploy di ransomware o a una compromissione più ampia della rete.
- •La distribuzione di malware basata su blockchain ha precedenti su molteplici reti, tra cui il ransomware Cerber che utilizzava Bitcoin nel 2016 e Omnistealer che sfruttava TRON, Aptos e BNB Chain nel 2026.
Gli hacker utilizzano i contratti di BNB Smart Chain per memorizzare istruzioni malware.
I finti prompt CAPTCHA invitano le vittime a incollare comandi dannosi negli strumenti di Windows.
Gli attacchi riusciti possono rubare credenziali e garantire agli hacker un accesso persistente alle reti aziendali.
Gli hacker stanno utilizzando i contratti di BNB Chain per diffondere malware attraverso siti web compromessi e finti prompt CAPTCHA, secondo un rapporto di Microsoft Threat Intelligence.
In un post su X giovedì, Microsoft Threat Intelligence ha dichiarato che la campagna utilizza EtherHiding, una tecnica che memorizza istruzioni dannose in uno smart contract su blockchain. Il JavaScript iniettato nei siti web compromessi contatta un gateway di BNB Chain e recupera i comandi da un contratto precedentemente collegato a ClearFake, una campagna malware che infetta siti web legittimi.
La memorizzazione delle istruzioni su una rete blockchain le rende più difficili da rimuovere. Solo il wallet che controlla il contratto può modificarne i contenuti, limitando l'efficacia dei convenzionali interventi di rimozione. Le reti blockchain pubbliche inoltre offrono molteplici punti di accesso che non possono essere bloccati singolarmente, poiché chiunque può interrogare un contratto attraverso diversi provider RPC o eseguire il proprio nodo.
I visitatori dei siti web compromessi vedono un falso CAPTCHA che dice loro di aprire la finestra di dialogo Esegui di Windows, incollare il testo dagli appunti e premere Invio. In questo modo viene eseguito un comando fornito dall'attaccante.
Il metodo, noto come ClickFix, dipende dall'esecuzione del malware da parte delle vittime stesse. Una variante chiamata TerminalFix indirizza gli utenti a Windows Terminal o PowerShell. L'ingegneria sociale in stile ClickFix è stata documentata in molteplici operazioni di cybercrime, con attaccanti che impersonano pagine di verifica, aggiornamenti software e finestre di errore per ingannare gli utenti e spingerli a eseguire codice.
"Questa campagna dimostra che ClickFix e TerminalFix sono una tecnica di accesso iniziale ad alto volume", hanno scritto i ricercatori di Microsoft. "Microsoft segnala campagne che prendono di mira migliaia di dispositivi aziendali e consumer a livello globale ogni giorno, mentre alcune catene di malvertising possono indirizzare i visitatori verso pagine di truffa."
Secondo Microsoft, gli hacker nascondono i propri comandi e abusano di strumenti legittimi di Windows, tra cui PowerShell, cmd, mshta, rundll32, msiexec, curl, Windows Management Instrumentation e attività pianificate. Un'infezione riuscita può esporre password, stabilire un accesso persistente, aiutare gli hacker a muoversi attraverso una rete e portare a ransomware o a una compromissione più ampia della rete.
L'uso di blockchain per supportare attacchi malware non è una novità.
Nel 2016, il ransomware Cerber ha iniziato a utilizzare le transazioni Bitcoin per trovare i propri server di command-and-control. Dal 2019 al 2021, il botnet Glupteba ha utilizzato la blockchain di Bitcoin per individuare server di backup quando quelli principali andavano offline.
Nel settembre 2023, la campagna malware ClearFake ha iniziato a utilizzare EtherHiding per recuperare codice dannoso dagli smart contract di BNB Chain. Nell'aprile 2026, i ricercatori hanno scoperto Omnistealer che utilizzava TRON, Aptos e BNB Chain per rubare credenziali, informazioni sugli account cloud, password e dati dei wallet crypto.
In altre parole, il problema non è esclusivo di BNB Chain. Ma è degno di nota che il team di minacce di Microsoft abbia scelto di evidenziare quella che sembra essere una questione in corso.
La notizia arriva dopo che BNB Chain ha presentato a luglio i piani per una nuova blockchain layer-1 progettata per il trading ad alta frequenza, i pagamenti automatizzati e le transazioni basate sull'AI. Un testnet è previsto entro la fine del 2026, seguito dal lancio della mainnet all'inizio del 2027.
Microsoft ha consigliato alle organizzazioni di limitare gli strumenti da riga di comando non necessari, abilitare la registrazione di PowerShell e utilizzare controlli delle applicazioni. Poiché il payload dannoso viene recuperato dinamicamente dall'infrastruttura blockchain anziché essere ospitato su un server fisso, i filtri web convenzionali e le blocklist dei domini potrebbero offrire una protezione limitata contro questo metodo di consegna.
"Gli utenti non dovrebbero mai incollare comandi da CAPTCHA, errori del browser, email, annunci o pagine di supporto non richieste in Esegui, Terminale, PowerShell o Prompt dei comandi", ha dichiarato Microsoft.